Am 7. Oktober 2026 stand in vielen Schlagzeilen: „Nur jedes zehnte Unternehmen ist gegen KI-gestützte Angriffe gerüstet.“ Die Zahl stammt aus der KI-Sicherheitsstudie 2026 von BSI und TÜV-Verband. Sie stimmt — aber sie meint nicht alle Unternehmen. Sie meint die, die KI schon nutzen oder einführen wollen. Wer das überliest, plant mit einem falschen Bild.

In derselben Mitteilung steht die Zahl 11 Prozent zweimal — mit zwei verschiedenen Bedeutungen und zwei verschiedenen Bezugsgrößen. Genau daran erkennt man, warum Bezugsgrößen keine Formsache sind.

Was die Studie ist

Grundlage ist eine Umfrage des Marktforschungsunternehmens forsa im Auftrag des BSI und des TÜV-Verbands. Befragt wurden 505 Unternehmen ab 20 Mitarbeitenden in Deutschland, im Zeitraum 22. Juni bis 31. Juli 2026. Vorgestellt wurde die Studie am 7. Oktober 2026 in Berlin von BSI-Vizepräsident Thomas Caspers und TÜV-Verbands-Präsident Dr. Dirk Stenkamp.

Die Zahlen, die für alle gelten

Diese Werte beziehen sich auf alle befragten Betriebe:

  • 49 Prozent setzen KI ein, 9 Prozent planen es innerhalb der nächsten zwölf Monate.
  • 42 Prozent setzen keine KI ein und planen es auch nicht.
  • 17 Prozent berichten von einem Angriff oder Betrugsversuch mit KI-Bezug in den letzten zwölf Monaten — davon 4 Prozent bestätigte Vorfälle und 11 Prozent Verdachtsfälle.

Bei den betroffenen Unternehmen nennt die Studie als häufigste Form überzeugend wirkende Phishing-Mails (90 Prozent), danach automatisierte Angriffsskripte, die sich auf der Suche nach Schwachstellen anpassen (40 Prozent), und Deepfakes einschließlich CEO-Betrug (11 Prozent).

Die Zahlen, die nur für KI-Nutzer gelten

Hier wechselt die Bezugsgröße. Die folgenden Werte gelten laut Mitteilung für Unternehmen, die KI nutzen oder den Einsatz planen — also für rund 58 Prozent der Befragten, nicht für alle:

  • 11 Prozent haben eigene Abläufe für KI-bezogene Sicherheitsvorfälle.
  • 43 Prozent greifen auf ihre allgemeinen IT-Sicherheitsprozesse zurück, ohne KI-spezifische Regeln.
  • 20 Prozent erarbeiten solche Abläufe gerade.
  • 25 Prozent haben bisher keine Regelungen dafür.
  • 69 Prozent erwarten von unabhängigen Prüfungen und Zertifizierungen mehr Sicherheit und Zuverlässigkeit.

Warum das praktisch wichtig ist

„Jedes zehnte Unternehmen“ klingt nach einem Problem der Gesamtwirtschaft. Tatsächlich beschreibt der Wert die Lage innerhalb der KI-nutzenden Gruppe. Wer die Studie als Argument in eine Geschäftsführungsrunde trägt, sollte beides sagen können — sonst kippt das Argument beim ersten Rückfragen.

Die zweite Veröffentlichung: wovor Unternehmen Angst haben

Am 13. Oktober 2026 hat der TÜV-Verband aus derselben Erhebung einen zweiten Teil veröffentlicht — zur Risikobewertung von KI-Agenten. Die Werte:

  • 84 Prozent befürchten Fehlentscheidungen auf Grundlage falscher oder erfundener Informationen.
  • Jeweils 78 Prozent sehen die Gefahr neuer Sicherheitslücken über Schnittstellen, des Abflusses sensibler Daten und ungewollter Aktionen der KI.
  • 74 Prozent bewerten unklare Verantwortung und Haftung bei Fehlern als hohes Risiko.
  • 65 Prozent nennen Manipulation von außen.

Auffällig ist die Reihenfolge: Die größte Sorge ist nicht der Hacker von außen, sondern die falsche Information von innen. Das deckt sich mit einem Satz, den TÜV-Verbands-Präsident Dr. Dirk Stenkamp bei der Vorstellung sagte: „Eine KI muss jedoch nicht gehackt werden, um Schaden anzurichten.“

Was ich daraus mitnehme

Das ist meine eigene Einschätzung, keine Aussage der Studie: Die drei Zahlen 84, 78 und 74 Prozent beschreiben kein Sicherheitsproblem im klassischen Sinn, sondern ein Organisationsproblem. Falsche Ausgaben, offene Schnittstellen und unklare Zuständigkeit entstehen nicht durch einen Angreifer, sondern durch fehlende Festlegungen. Die Studie liefert dazu den passenden Gegenwert: 67 Prozent der KI-nutzenden Unternehmen lassen kritische Ausgaben durch Menschen prüfen, 64 Prozent beschränken Zugriffsrechte, 52 Prozent testen Anwendungen vor dem Einsatz. Das sind keine teuren Maßnahmen. Das sind Entscheidungen.

Drei Fragen für die nächste Leitungsrunde

  1. Wer prüft, bevor es rausgeht? Für welche KI-Ausgaben gilt bei uns eine menschliche Kontrolle — und für welche ausdrücklich nicht?
  2. Was passiert bei einem Vorfall? Haben wir einen Ablauf, der KI ausdrücklich erwähnt, oder nur den allgemeinen IT-Notfallplan?
  3. Wer haftet intern? Welche Rolle trägt die Verantwortung, wenn ein KI-System eine falsche Auskunft an einen Kunden gibt?

Wer alle drei beantworten kann, gehört zu den 11 Prozent. Wer nicht, zu den 88, die es noch nicht festgelegt haben.

Weiterlesen

Wie weit der KI-Einsatz in deutschen Unternehmen insgesamt gediehen ist, zeigt die Bitkom-Studie vom September 2026. Warum gerade mittlere Betriebe zurückfallen, steht in Die Mitte fällt zurück. Was die KI-Verordnung von Betrieben verlangt, die KI einsetzen, sammelt KI-Kompetenz nach Artikel 4. Und wo KI-Agenten im B2B konkret ankommen, zeigt der B2B-Marktmonitor 2026.

Quellen, Stand 20. Oktober 2026: BSI, Pressemitteilung „Nur jedes zehnte Unternehmen gegen KI-gestützte Angriffe gerüstet — jedes sechste Unternehmen berichtet von Vorfällen“ vom 7. Oktober 2026 — Anteile 49/9/42 Prozent KI-Einsatz, 17 Prozent Vorfälle (4 Prozent bestätigt, 11 Prozent Verdacht), Angriffsarten 90/40/11 Prozent, Prozesse 11/43/20/25 Prozent und Zertifizierungserwartung 69 Prozent jeweils für KI-nutzende oder -planende Unternehmen, Stichprobe mehr als 500 Unternehmen ab 20 Mitarbeitenden, Zitate Caspers und Stenkamp (bsi.bund.de); TÜV-Verband, Pressemitteilung „KI-Agenten: Unternehmen sehen erhebliche Sicherheitsrisiken“ vom 13. Oktober 2026 — Risikowerte 84/78/74/65 Prozent sowie Methodenangabe forsa, 505 Unternehmen ab 20 Mitarbeitenden, Erhebung 22. Juni bis 31. Juli 2026 (tuev-verband.de); vollständiger Ergebnisbericht „KI-Sicherheitsstudie 2026“ beim BSI. Der Abschnitt „Was ich daraus mitnehme“ ist meine eigene Bewertung und keine Aussage dieser Quellen.

Diesen Artikel habe ich mit KI-Unterstützung recherchiert und jede Zahl zweimal gegen die Primärquelle geprüft. Wenn Sie die drei Fragen oben für Ihr Unternehmen schriftlich beantwortet haben wollen: Leistungen oder der Ideen-Kompass.